Login til panelet: en adgangskode alene er ikke et forsvar

Man sætter en adgangskode på panelet og tror, at sagen er klaret. Men en adgangskode er én enkelt forsvarslinje, og dens styrke kan ikke efterprøves: den kan kun antages.

Tre ting ændrer virkelig udfaldet.

Et: en forsøgsgrænse

En adgangskodes styrke betyder først noget, når gætning er dyrt. Med ubegrænsede forsøg bliver enhver adgangskode et spørgsmål om tid; den eneste forskel er, hvor lang tid det tager.

En forsøgsgrænse gør ikke adgangskoden stærkere. Den gør gætningen dyr. Det er to forskellige ting, og den anden ligger i din hånd.

To: hvor sessionen bor

Efter login er det ikke adgangskoden, der bærer dig, men sessionen. Det egentlige spørgsmål er derfor: hvor bor den session, og hvem kan nå den?

Sessionen bør ligge i browseren et sted, som scripts ikke kan læse, og være markeret, så en side på et andet websted ikke kan sende forespørgsler i dit navn. Ellers kan et faneblad, du har ladt stå åbent, handle med din myndighed.

Tre: et andet trin

Det er den eneste foranstaltning, der ikke lader en lækket adgangskode overleve. En adgangskode kan stjæles, gættes eller komme fra en lækage på et andet websted. Et andet trin forhindrer intet af det, det sørger blot for, at adgangskoden alene ikke er nok.

Slå det til for konti, der kan ændre ting. For konti, der kun kigger, er det en smagssag.

Den antagelse, der koster mest: "jeg er på det lokale net"

Den sætning er på sikkerhedssiden den mest gentagne og den mest forkerte.

Tæl, hvad der findes på dit lokale net: den trådløse forbindelse, du gav dine gæster, en smart dims, der ikke er opdateret i årevis, børnenes computer, og hver virtuel maskine, du kører på din egen server.

Den sidste overses oftest. Kører du software, du har hentet fra internettet, inde i en virtuel maskine, ligger den maskine på dit lokale net og kan nå panelets loginside.

"Jeg har ikke åbnet udadtil" betyder altså ikke "ingen kan prøve". Det betyder blot "ikke alle på internettet kan prøve". Forskellen ligger i, hvem der er tæt nok på til at prøve.

Hvad man gør, i rækkefølge

Åbn ikke panelet direkte mod internettet. Har du brug for fjernadgang, så læg et lag imellem.

Sørg for, at der findes en forsøgsgrænse. Uden den er adgangskodegætning fra det lokale net gratis.

Sæt et andet trin på konti, der kan ændre ting.

Hold op med at udføre det daglige arbejde med den mest magtfulde konto. Det har sin egen artikel i denne wiki og tæller som fortsættelsen af denne: selv med beskyttet login er det et særskilt spørgsmål, hvor meget den, der logger ind, kan ændre.

Hvad Atlas gør

Atlas' loginport har en forsøgstæller, og tælleren føres per kildeadresse. Er der ti forkerte forsøg inden for et vindue på fem minutter, spærres den adresse i femten minutter.

Hvorfor det findes, står i kodens egen kommentar og er netop emnet for denne artikel: Proxmox har allerede sin egen forsinkelse, men det skal også standses ved agentens port, ellers er adgangskodegætning fra det lokale net gratis.

På sessionssiden bruges to markeringer sammen. Sessionsbetegnelsen holdes i browseren i en form, som scripts ikke kan læse, og den er markeret, så den ikke sendes med forespørgsler, der kommer fra et andet websted. En side i et andet åbent faneblad kan altså ikke få din browser til at bruge din session.

En ærlig grænse: intet af dette gør din adgangskode stærkere. Det gør gætningen dyr og løfter sessionen ud af kategorien stjælbar. Adgangskoden selv er stadig dit valg, og det samme gælder, om du slår det andet trin til.